Kelp DAO señala fallas en LayerZero tras un hackeo
Kelp DAO ha proporcionado un balance sobre el hackeo que ocurrió el 18 de abril de 2024, resultando en la extracción de 292 millones de dólares en el token rsETH desde su adaptador de puenteo debido a un mensaje falsificado entre cadenas. Para contener el incidente, el protocolo pausó contratos en Ethereum y en redes de capa 2.
El 20 de abril, el equipo de LayerZero Labs publicó un informe técnico indicando que el hackeo fue ocasionado por una decisión de configuración de Kelp DAO que contradecía las recomendaciones del protocolo, según reportó CriptoNoticias.
Sin embargo, Kelp DAO indicó que la fuente del ataque radicó en la infraestructura de LayerZero, donde dos nodos RPC fueron comprometidos y un tercero sufrió un ataque de denegación de servicio (DDoS). Según la DAO, sus sistemas no participaron en la creación ni en la operación de dicha infraestructura, aunque dependen de ella para sus funciones.
Con el fin de mitigar el daño, Kelp DAO pausó todos los contratos relevantes y blacklistó las direcciones del atacante. Además, se coordinó con el equipo de seguridad SEAL-911 para prevenir un segundo intento de robo de 40 000 rsETH, equivalentes a 95 millones de dólares, que se intentaba realizar a través de un paquete falsamente verificado.
La investigación subrayó la configuración 1 de 1 de la Decentralized Verifier Network (DVN), opción que Kelp DAO utilizó desde su implementación y que es la predeterminada en LayerZero. A pesar del incidente, el equipo mantuvo comunicación continua con LayerZero y confirmaron que dicha configuración era apropiada durante su expansión hacia soluciones de capa 2.
Kelp DAO subrayó su compromiso con la protección de usuarios y la prevención de contagio en el ecosistema DeFi, colaborando con socios como Aave para evaluar el impacto y coordinar medidas de mitigación. Resaltar una narrativa clara sobre lo sucedido se considera fundamental para implementar futuras soluciones de seguridad.
Se debe destacar que el ataque a Kelp DAO no fue un evento aislado; durante las primeras dos semanas de abril de 2024 se registraron al menos 13 brechas de seguridad en el ecosistema, que acumulaban pérdidas superiores a 450 millones de dólares, sin contar el incidente de Kelp DAO, convirtiendo a abril en un mes crítico para la seguridad.